Contrato de encargo de tratamiento

Partes

• El Comercio (responsable del tratamiento): el titular del negocio que contrata Mercatia, cuyos datos identificativos y fiscales constan en el alta. En adelante, «el Comercio».
• Mercatia Tech, S.L. (encargado del tratamiento): Mercatia, que presta el servicio de atención automatizada. En adelante, «Mercatia».

1. Objeto y alcance

Mercatia presta al Comercio un servicio de atención automatizada de conversaciones de WhatsApp Business mediante un asistente de inteligencia artificial. En el marco de ese servicio, Mercatia trata datos personales de los clientes finales del Comercio por cuenta y siguiendo las instrucciones del Comercio.

El detalle de finalidades, categorías de datos y de interesados figura en el alta y en la documentación del servicio. Este contrato se completa con los anexos de subencargados, medidas de seguridad y transferencias internacionales.

2. Instrucciones del responsable

Mercatia trata los datos únicamente conforme a las instrucciones documentadas del Comercio, incluidas las relativas a transferencias a terceros países. Si una norma obliga a Mercatia a tratar los datos de forma distinta, se lo informará al Comercio antes de proceder, salvo que la norma lo prohíba por razones de interés público.

Mercatia no usará los datos para fines propios distintos de los del servicio. El contenido es del Comercio y no se usa para entrenar modelos.

3. Confidencialidad

Mercatia garantiza que el personal autorizado para tratar los datos está sujeto a deberes de confidencialidad (compromiso expreso o deber estatutario), vigentes incluso después de finalizar la relación.

4. Medidas de seguridad (art. 32 RGPD)

Mercatia aplica las medidas técnicas y organizativas apropiadas al riesgo, incluyendo, como mínimo:

• Cifrado de las comunicaciones (HTTPS/TLS) con las plataformas implicadas.
• Control de acceso por credenciales y sesión autenticada en el panel de administración.
• Gestión de incidentes y registro de accesos y errores relevante.
• Limitación del personal con acceso a datos personales.

5. Subencargados

El Comercio autoriza la subcontratación de los proveedores necesarios para prestar el servicio. Mercatia impone a cada subencargado, por contrato escrito, las mismas obligaciones que aquí se asumen (art. 28.4 RGPD).

Mercatia informa de altas y cambios de subencargados con antelación mínima de 15 días, para que el Comercio pueda oponerse. El listado completo y actualizado de subencargados se entrega junto con este contrato.

6. Asistencia en los derechos de los interesados

Mercatia asiste al Comercio para atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de los clientes finales, en plazo y conforme a la configuración del servicio y a sus instrucciones.

7. Asistencia en seguridad, brechas, evaluaciones de impacto y consulta previa

Mercatia asiste al Comercio en el cumplimiento de los arts. 32 a 36 RGPD y en la notificación de brechas de seguridad, sin dilación indebida, con la información necesaria para que el Comercio cumpla su deber de notificación (art. 33 RGPD). Asimismo, asiste en la evaluación de impacto (EIPD) y en la eventual consulta previa a la autoridad de control.

8. Supresión o devolución al terminar

Al terminar la prestación, Mercatia suprime o devuelve todos los datos personales tratados por cuenta del Comercio y destruye las copias existentes, salvo obligación legal de conservarlos (en cuyo caso permanecen bloqueados y con acceso restringido).

9. Auditorías y acreditación

Mercatia pone a disposición del Comercio la información necesaria para demostrar el cumplimiento de estas obligaciones y permite auditorías o inspecciones razonables, con preaviso y respetando la confidencialidad.

10. Transferencias internacionales (cap. V RGPD)

Cuando un subencargado está en un país sin decisión de adecuación, la transferencia se ampara en las Cláusulas Contractuales Tipo (Decisión 2021/914, Módulo 2) y en una evaluación de impacto de la transferencia (TIA) documentada. Los detalles figuran en el anexo de transferencias internacionales del contrato.

11. Duración

Este contrato está vigente mientras Mercatia trate datos por cuenta del Comercio. Sobreviven las obligaciones de confidencialidad y de supresión. Se completa con las condiciones de uso y la política de privacidad.

Aceptación versionada

El Comercio acepta este contrato y sus anexos en la pantalla de alta, y se registra la versión aceptada y la fecha. Versión vigente: 1.0, con última actualización de 28 de septiembre de 2026.